Вопрос 8. Международный стандарт системы менеджмента защиты информации исо/мэк 27001:2005. Область применения и краткое содержание

ISO/IEC 27001 — международный стандарт по информационной безопасности, разработанный совместно Международной организацией по стандартизации и международной электротехнической комиссией. Подготовлен к выпуску подкомитетом SC 27 Объединенного технического комитета JTC 1.

Стандарт содержит требования в области информационной безопасности для создания, развития и поддержания Системы менеджмента информационной безопасности(СМИБ).

Лучшие мировые практики в области управления информационной безопасностью описаны в международном стандарте на системы менеджмента информационной без.

ISO 27001 устанавливает требования к системе менеджмента информационной безопасности для демонстрации способности организации защищать свои информационные ресурсы.

Система менеджмента защиты информации: часть общей системы менеджмента, основанной на подходе деловых рисков, с целью создать, внедрить, эксплуатировать, постоянно контролировать, анализировать, поддерживать в рабочем состоянии и улучшать защиту информации.

Общие положения: этот международный стандарт был подготовлен для того, чтобы предоставить модель для создания, внедрения, эксплуатации, постоянного контроля, анализа, поддержания в рабочем состоянии и улучшения Системы Менеджмента Защиты Информации (СМЗИ).

Процессный подход: этот международный стандарт принимает процессный подход для создания, внедрения, эксплуатации, постоянного контроля, анализа, поддержания в рабочем состоянии и улучшения СМЗИ организации.

Этот международный стандарт принимает модель «Plan-Do-Check-Act» (PDCA1), которая применяется для структуризации всех процессов СМЗИ.

Модель PDCA, примененная к процессам СМЗИ:

Планирование (создайте СМЗИ): установите политику, цели, процессы и процедуры, относящиеся к менеджменту рисков и улучшению защиты информации для выдачи результатов в соответствии с общей политикой и целями организации.

Осуществление (внедрите и эксплуатируйте СМЗИ): реализуйте и эксплуатируйте политику, средства управления, процессы и процедуры в области СМЗИ.

Действие (постоянно контролируйте и анализируйте СМЗИ): оценивайте и, где применимо, измеряйте показатели процессов по отношению к политике, целям и практическому опыту в области СМЗИ, доложите результаты руководству для анализа.

Проверка (поддерживайте в рабочем состоянии и улучшайте СМЗИ): осуществляйте корректирующие и предупреждающие действия, основанные на результатах внутреннего аудита СМЗИ и анализа со стороны руководства, или на другой значимой информации для того, чтобы достичь постоянного улучшения СМЗИ.

Совместимость с другими системами менеджмента: этот международный стандарт совмещен с ISO 9001:2000 и ISO 14001:2004 для того, чтобы поддерживать согласованную и комплексную реализацию и работу со связанными стандартами менеджмента. Одна должным образом разработанная система менеджмента может, таким образом, удовлетворить требованиям всех этих стандартов.

Область применения: требования, установленные в этом международном стандарте, носят общий характер и предназначены для применения ко всем организациям, независимо от типа, размера и характера.

Термины и определения:

Актив - что-либо, что имеет ценность для организации.

Доступность - свойство быть доступным и годным к употреблению по требованию уполномоченного лица.

Конфиденциальность - свойство, что информация не сделана доступной или не разглашена неуполномоченным лицам, организациям или процессам

Защита информации - сохранение конфиденциальности, целостности и доступности информации; кроме того, также могут быть включены другие свойства, такие как аутентичность, подотчетность, неотрекаемость и надежность.

Событие в системе защиты информации - выявленный случай системы, услуги или состояния сети, указывающий на возможное нарушение политики защиты информации или нарушения в работе средств защиты, или прежде неизвестная ситуация, которая может иметь значение для защиты.

Инцидент в системе защиты информации - одно или серия нежелательных или неожиданных событий в системе защиты информации, которые имеют большой шанс скомпрометировать деловые операции и поставить под угрозу защиту информации.

Целостность - свойство оберегания точности и полноты активов.

Остаточный риск - риск, остающийся после обработки риска.

Принятие риска - решение взять на себя риск.

Анализ риска - систематическое использование информации для выявления источников и для оценки степени риска.

Основные разделы стандарта:

- Система менеджмента защиты информации

- Ответственность руководства

- Внутреннее аудиты СМЗИ

- Анализ СМЗИ со стороны руководства

- УЛУЧШЕНИЕ СМЗИ.

Система менеджмента защиты информации включает следующие пункты:

• общие требования;

• создание СМЗИ;

• Реализация и эксплуатация СМЗИ;

• Контроль и анализ СМЗИ;

• Поддерживать в рабочем состоянии и улучшать СМЗИ;

• требования к документации (общие положения);

• Управление документами;

- Управление записями.

Общие требования Системы менеджмента защиты информации:

организация должна создать, внедрить, эксплуатировать, постоянно контролировать, анализировать, поддерживать в рабочем состоянии и улучшать документированную СМЗИ в контексте целостной деловой деятельности организации и рисков, с которыми она сталкивается.

Для создания СМЗИ организация должна сделать следующее:

1. Определить область приложения и границы СМЗИ;

2. Определить политику в отношении СМЗИ;

3. Определить подход к оценке риска в организации;

4. Выявить риски;

5. Проанализировать риск и оценить значительность риска;

6. Выявить и оценить возможности для обработки рисков;

7. Выбрать цели управления и средства управления для обработки риска;

8. Получить утверждение руководства предлагаемого остаточного риска;

9. Получить разрешение руководства на реализацию и работу СМЗИ;

10) Подготовить Заявление о применимости.

Для реализации и эксплуатации СМЗИ организация должна сделать следующее:

1) Сформулировать план обработки рисков, в котором были бы определены подходящие действия по менеджменту, ресурсы, ответственность и приоритеты для менеджмента рисками защиты безопасности.

2) Реализовать план обработки рисков для того, чтобы достичь определенных целей управления, что включает в себя учет финансирования и распределения ролей и ответственности.

3) Реализовать средства управления, с целью достичь целей управления.

4) Определить, как измерять результативность выбранных средств управления или группы средств управления, а также определить, как эти измерения предстоит использовать для оценки результативности управления так, чтобы выдать сравнимые и воспроизводимые результаты.

5) Осуществлять подготовку и программы повышения осведомленности.

6) Осуществлять менеджмент эксплуатации СМЗИ.

7) Управлять ресурсами для СМЗИ.

8) Внедрить процедуры и другие средства управления, способные дать возможность быстрого обнаружения события в системе защиты информации и реакции на инциденты в системе защиты информации.

Для постоянного контроля и анализа СМЗИ организация должна сделать следующее:

1) Выполнять процедуры постоянного контроля и анализа, а также другие средства управления.

2) Предпринимать регулярный анализ результативности СМЗИ, принимая во внимание результаты аудитов защиты, инциденты, результаты измерений результативности, предложения и обратную реакцию всех заинтересованных сторон.

3) Измерять результативность средств управления для того, чтобы проверить, что требования защиты были удовлетворены.

4) Анализировать оценки риска через запланированные интервалы и анализировать остаточные риски и определенные приемлемые уровни риска, принимая во внимание изменения различных факторов таких как технология, деловые цели и процессы, угрозы и др.

5) Проводить внутренние аудиты СМЗИ через запланированные интервалы.

6) Регулярно осуществлять анализ СМЗИ со стороны руководства, с целью гарантировать, что область применения остается адекватной, и выявляются улучшения в процессе СМЗИ.

7) Обновлять планы защиты для того, чтобы учесть данные, полученные в ходе деятельности по постоянному контролю и анализу.

8) Записывать действия и события, которые могли оказать негативное влияние на результативность или качество работы СМЗИ.

Для подержания в рабочем состоянии и улучшения СМЗИ организация должна регулярно делать следующее:

1) Внедрять выявленные улучшения в СМЗИ.

2) Осуществлять надлежащие корректирующие и предупреждающие действия и применять уроки, полученные из опыта защиты других организаций, а также из опыта самой организации.

3) Сообщать обо всех действиях и улучшениях всем заинтересованным сторонам с уровнем детальности, соответствующим обстоятельствам и, по значимости, согласовывать дальнейшие действия.

4) Гарантировать, что улучшения достигают предполагаемых целей.

Документация СМЗИ должна включать следующее:

a) документированное заявление о политике и целях СМЗИ;

b) область приложения СМЗИ;

c) процедуры и средства управления в поддержку СМЗИ;

d) описание методологии оценки рисков;

e) отчет об оценке рисков;

f) план обработки рисков;

g) документированные процедуры, необходимые организации для того, чтобы гарантировать результативное планирование, работу и управление ее процессами защиты информации, а также для того, чтобы описать, как измерять результативность средств управления;

h) записи, требуемые этим международным стандартом;

i) Заявление о применимости.

Документы, требуемые СМЗИ, должны быть защищены и должны управляться.

Документированная процедура должна быть создана для определения действий руководства, необходимых для следующего:

a) утверждать документы на адекватность перед выпуском;

b) анализировать и обновлять документы, по необходимости, а также повторно утверждать документы;

c) гарантировать, что указаны изменения и текущий статус редакции документов;

d) гарантировать, что имеющие отношение к делу версии применимых документов доступны в местах использования;

e) гарантировать, что документы остаются разборчивыми и легко идентифицируемыми;

f) гарантировать, что документы доступны тем, кому они нужны, и что они перемещаются, хранятся, и, в конце концов, ликвидируются в соответствии с процедурами, применимыми к их классификации;

g) гарантировать, что документы внешнего происхождения идентифицированы;

h) гарантировать, что распространение документов управляется;

i) предотвращать неумышленное использование устаревших документов;

j) применять подходящую идентификацию к ним, если они сохраняются для какой-либо цели.

Управление записями:

Записи должны создаваться и поддерживаться в рабочем состоянии для того, чтобы обеспечивать подтверждение соответствия требованиям и результативной работы СМЗИ.

Записи должны быть защищены и должны управляться. СМЗИ должна

учитывать любые имеющие отношение к делу законодательные или нормативные требования, а также договорные обязательства.

Записи должны оставаться разборчивыми, легко идентифицируемыми и извлекаемыми.

Средства управления, необходимые для идентификации, хранения, защиты, поиска, а также сроки хранения и ликвидации записей должны быть документированы и реализованы.

В записях должны быть отражены показатели процесса, а также

все эпизоды значительных инцидентов в системе безопасности, связанные со СМЗИ.

Примерами записей являются книга посетителей, протокол аудита и заполненные формы разрешения доступа.

Раздел ответственности руководства включает следующие пункты:

• обязательства руководства;

• обеспечение ресурсами;

• подготовка, осведомленность и компетентность.

Обязательства Руководство в области СМЗИ обеспечивается путем осуществления следующих действий:

a) создание политики СМЗИ;

b) обеспечение создания целей и планов СМЗИ;

c) определение ролей и ответственности в области защиты информации;

d) доведение до сведения организации важности выполнения целей защиты информации и соответствия политике защиты информации с законом и потребности организации в непрерывном улучшении;

e) обеспечение достаточного количества ресурсов для создания, внедрения, эксплуатации, постоянного контроля, анализа, поддержания в рабочем состоянии и улучшения СМЗИ;

f) принятие решения о критериях принятия риска и приемлемых уровнях риска;

g) обеспечение проведения внутренних аудитов СМЗИ;

h) проведение анализа СМЗИ.

Обеспечение ресурсами, необходимы для следующих аспектов в области СМЗИ:

a) создать, внедрить, эксплуатировать, постоянно контролировать, анализировать, поддерживать в рабочем состоянии и улучшать СМЗИ;

b) гарантировать, что процедуры защиты информации поддерживают деловые требования;

c) выявить и рассматривать законодательные и нормативные требования, а также договорные обязательства по защите;

d) поддерживать в рабочем состоянии адекватную защиту путем правильного применения всех реализованных средств управления;

e) проводить анализ, когда это необходимо, и соответствующим образом

реагировать на результаты этого анализа;

f) где необходимо, улучшать результативность СМЗИ.

Для обеспечения осведомленности и компетентности персонала, организация должна осуществлять следующие действия:

a) определять необходимую компетентность для персонала, выполняющего работу, влияющую на СМЗИ;

b) обеспечивать подготовку или предпринимая другие действия (например, нанимая на работу компетентный персонал), с целью удовлетворить эти потребности;

c) оценивать результативность предпринятых действий;

d) поддерживать в рабочем состоянии записи об образовании, подготовке, мастерстве, опыте и квалификации;

е) организация должна гарантировать, что весь имеющий отношение к делу персонал отдает себе отчет в значимости и важности их деятельности в области защиты информации и в том, какой вклад они вносят в достижение целей СМЗИ.

В разделе «внутреннее аудиты СМЗИ» указывается что:

Организация должна проводить внутренние аудиты СМЗИ через запланированные интервалы, с целью определить следующее аспекты:

a) соответствуют ли требованиям этого международного стандарта и относящихся к ним законов или нормы;

b) соответствуют ли выявленным требованиям защиты информации;

c) эффективно ли реализуются и поддерживаются в рабочем состоянии;

d) выполняются ли, как ожидается цели управления, средства управления, процессы и процедуры СМЗИ организации.

При проведении внутреннего аудита СМЗИ необходимо учитывать следующее моменты:

- Программа аудиты должна быть спланирована с учетом статуса и важности процессов и областей, которые нужно проверять, а также результатов предыдущих аудитов.

• Необходимо определить критерии, область приложения, частота и методы аудита.

• Выбор аудиторов и проведение аудитов должны гарантировать объективность и беспристрастность процесса аудита.

• Аудиторы не должны проверять свою собственную работу.

• Ответственность за планирование и проведение аудитов и требования для планирования и проведения аудитов, а также для сообщения результатов и поддержания записей в рабочем состоянии, должны быть определены в документированной процедуре.

- Руководство, ответственное за проверяемую область, должно гарантировать, что действия по устранению обнаруженных несоответствий и их причины предпринимаются без ненужной задержки.

- После проведения внутреннего аудита необходимо провести верификацию предпринятых действий и составление отчета по результатам верификации.

Раздел «анализ СМЗИ со стороны руководства»

Входные данные для анализа СМЗИ со стороны руководства должны включать в себя следующее моменты:

a) результаты аудитов и анализа СМЗИ;

b) обратная реакция заинтересованных сторон;

c) методики, продукты или процедуры, которые можно было бы использовать в организации для улучшения качества работы и результативности СМЗИ;

d) статус предупреждающих и корректирующих действий;

e) уязвимые места или угрозы, адекватно не рассмотренные в предыдущих оценках риска;

f) результаты измерений результативности;

g) последующие действия, вытекающие из предыдущего анализа со стороны руководства;

h) любые изменения, которые могли повлиять на СМЗИ;

i) рекомендации по улучшению.

Выходные данные анализа со стороны руководства должны включать в себя любые решения и действия, имеющие отношение к нижеследующему:

a) Улучшение результативности СМЗИ.

b) Обновление оценки риска и плана обработки риска.

c) Изменения процедур и средств управления, которые влияют на защиту информации.

d) Необходимые ресурсы.

e) Улучшение в том, как измеряется результативность средств управления.

Раздел «корректирующие действия, предупреждающие действия и Постоянное улучшение СМЗИ».

Организация должна постоянно улучшать результативности СМЗИ посредством:

- использования политики и целей защиты информации.

- использования результатов аудита.

- анализа наблюдаемых событий, корректирующих и предупреждающих действий.

- анализа со стороны руководства.

Организация должна предпринимать действия по устранению причины несоответствия требованиям СМЗИ для того, чтобы предотвращать повторение.

Документированная процедура для корректирующего действия должна определять требования для следующего:

a) выявление несоответствий;

b) определение причин несоответствий;

c) оценивание потребности в действиях, чтобы гарантировать, что несоответствия не возникнут снова;

d) определение и реализация требующихся корректирующих действий;

e) записывание результатов предпринятых действий;

f) анализ предпринятого корректирующего действия.

Организация должна определить действие для устранения причины возможного несоответствия требованиям СМЗИ для того, чтобы предотвратить его возникновение.

Предпринятые предупреждающие действия должны соответствовать негативному влиянию возможных проблем.

Документированная процедура для предупреждающего действия должна определять требования для следующего:

a) выявление возможных несоответствий и их причин;

b) оценивание потребности в действии, имеющем целью предотвратить случай несоответствия;

c) определение и реализация требуемого предупреждающего действия;

d) записывание результатов предпринятого действия;

e) анализ предпринятого предупреждающего действия.

Организация должна выявить изменившиеся риски и определить требования к предупреждающим действиям, сосредоточив внимание на значительно изменившихся рисках.

Приоритет предупреждающих действий должен быть определен на основе результатов оценки риска.

Список литературы

1) Герасимов, Б.Н. Управление качеством [Текст] : учеб. пособие / Б.Н. Герасимов, Ю.В. Чуриков. - М. : Вузовский учебник : ИНФРА-М, 2011. - 304 с.

2) Дунченко, Н.И. Управление качеством в отраслях пищевой промышленности : учеб. пособие / Н.И. Дунченко, М.Д. Магомедов, А.В. Рыбин. – 3-е изд. – М. : Дашков и К, 2010. – 212 с.

3) ИСО/МЭК 27001:2005 Международный стандарт системы менеджмента защиты информации

4) Рожков, В.Н. Управление качеством [Текст] : учебник / В.Н. Рожков. - М. : Форум, 2012. - 336 с.

5) Салимова, Т.Я. Управление качеством [Текст] : учебник / Т.Я. Салимова. – 5-е изд., стер. – М. : Омега-Л, 2011. – 416 с.